Hoe't jo IPv6 oer in VPN teste mei jo eigen boarne

In iepenbiere IP-kontrôleside beantwurdet ien fraach, en meastentiids net dy't jo stelden. Se fertelt it útgongsadres dat de side seach; se fertelt net oft de IPv6-route troch de tunnel wurket, oft de host IPv6 foarstie of weromfoel, of oft in útsletten applikaasje in oar paad naam. In autorisearre boarne dy't jo beheare beantwurdet de smeller fraach goed, om't jo beide einen sjogge. De hantlieding hjirûnder giet oer it krijen fan in konklúzje dy't jo ferdigenje kinne, net oer in grien resultaat.

Stap 1: sis hokker IPv6-paad jo testen

Sis it yn ien sin. In fersyk nei it eigen IPv6-adres fan de tunnelserver testet de tunnel; in fersyk nei in host foarby de útgong testet de IPv6-útgong fan de útgong; in fersyk nei in privee IPv6-adres testet in ynterne route.

Dat binne trije ferskillende bewearings en ien suksesfol fersyk kin se net allegear stypje. Kies dy't fan belang is foar it beslút foar jo en skriuw it op foardat jo eat rinne litte. As de soarch is oft IPv6 om de tunnel hinne lekt, giet de fraach oer de routekar fan de host, net oer de berikberens fan de útgong. As de soarch is oft de fiere kant in ynterne tsjinst berikke kin, is de útgong net fan belang.

Stap 2: befêstigje dat de host dy route kiest

ip -6 route get 2001:db8:1::10 printsjet de route, it boarneadres en de ynterface dy't de kearn brûke soe, en dat is it feit dêr't de rest fan de test fan ôfhinget.

In ynterface dy't bestiet is net itselde as keazen wurde. Hosts mei twa stacken hawwe in prioriteitstabel, en /etc/gai.conf op Linux kin feroarje hokker famylje wint foar in namme dy't nei beide resolvet.

Stap 3: brûk in legitime bestimming en in legitime namme

As jo HTTPS testen, brûk dan de hostnamme dêr't it sertifikaat foar útjûn is en hâld ferifikaasje oan; oergean nei in literaal adres om de test te slagjen set krekt de kontrôle út dy't bewiist dat jo de bedoelde host berikt hawwe. In diagnostyske tsjinst dy't jo beheare, dy't antwurdet op in bekende namme mei in jildich sertifikaat, is it skjinste doel. It jout jo ek in server-side logrigel om tsjin te korrelearjen, wat in kontrôleur fan tredden nea dwaan sil.

Rin it fersyk yn in foarm dy't it brûkte adres sjen lit: curl -6 -sS -o /dev/null -w '%{remote_ip} %{http_code}\n' https://test6.example.net/. De -6 twingt de famylje, en sa skiede jo IPv6 wurket net fan IPv6 hie gjin foarkar.

Foar in suvere berikberenstest wêr't ICMPv6 tastien is, is ping -6 -c 3 2001:db8:1::10 genôch. It bewiist it paad en neat dêrboppe.

Stap 4: korrelearje beide einen

As jo tagong hawwe ta beide einen, rin dan tcpdump -ni any ip6 and host 2001:db8:1::10 op de klient en it ekwivalint op de boarne, mei tiidstimpels, en befêstigje dat deselde stream op beide ferskynt. Dat is wat in leauweardich resultaat yn bewiis feroaret: de werjefte fan 'e klient allinnich kin in antwurd fan 'e boarne net skiede fan in antwurd fan eat der tuskenyn. Hâld de opname smel ta de iene bestimming, sadat de útfier lêsber bliuwt en nimmen syn net-relatearre sesje yn it bestân belânet.

Werhelje de test nei in opnij ferbinen as de soarch is oft belied in werstart oerlibbet. Route- en firewallsteat ien kear tapast by ferbinen kin ferskille fan steat dy't opnij tapast wurdt, en it ferskil blykt allinnich by de twadde ferbining.

Test it gefal fan mislearring apart as jo it nedich hawwe. In tunnel dy't IPv6 blokkearret as er falt en ien dy't it lekke lit, binne ferskillende ûntwerpen, en mar ien fan beiden kin mei in suksesfol fersyk befêstige wurde.

Stap 5: skriuw op wat de test net bewiisde

Stap fiif is opskriuwen wat de test net bewiisde, en dat is it part dat fuortlitten wurdt. In suksesfolle test fan in privee einpunt bewiist gjin iepenbiere IPv6-útgong, bewiist gjin DNS-gedrach en dekt gjin applikaasjes dy't jo fan 'e tunnel útsletten hawwe. Elk dêrfan hat syn eigen bestimming en syn eigen observaasje nedich. In notysje dy't seit dat IPv6 wurket nei ien fersyk nei ien host is gjin befinning; it is in gissing mei in tiidstimpel.

It record dat it wurdich is om te behâlden is koart: de bestimming, de namme, it boarneadres dat de host keas, it waarnommen fiere adres en de tiid. RFC 7359 besprekt hoe't men testet dat in relevante IPv6-route echt brûkber is, en dat is de standert dy't dizze hantlieding mei ienfâldiger ark benei komt. As de konklúzje in iepenbiere kontrôleur nedich hat om wier te wêzen, wie de test net spesifyk genôch.